Безопасность должна работать до, во время и после создания ссылки.
Короткая ссылка может выглядеть простой, но она соединяет пункт назначения, учетную запись владельца, путь перенаправления и операционные данные. SHORTURL ASIA использует многоуровневые меры безопасности, чтобы один пропущенный сигнал не стал единственной линией защиты. Цель состоит в том, чтобы снизить практический риск, не делая легитимные ссылки излишне трудными для использования.
Прежде чем пункт назначения будет принят
Новые места назначения должны представлять собой полные адреса HTTP или HTTPS. Программа проверки проверяет хост, формат адреса и условия, которые могут привести к частной или зарезервированной сети. Проверки DNS и общедоступных IP-адресов повторяются при перенаправлении, чтобы снизить риски запросов на стороне сервера. Прохождение этих проверок означает, что адрес на тот момент соответствовал техническим правилам; он не подтверждает содержание пункта назначения.
Проверка и статус ссылки
Ссылка может быть ожидающей проверки, безопасной, отключенной, просроченной или заблокированной. Его состояние может измениться, когда владелец обновит настройку, прибудет новый отчет или при более поздней проверке будет обнаружен другой результат. Защищенные псевдонимы предотвращают столкновение общедоступных страниц и важных маршрутов приложений с адресами, созданными пользователем.
- Проверьте структуру URL-адресов и общедоступные места назначения.
- Защитите зарезервированные псевдонимы и маршруты приложений.
- Поддержка повторных проверок, отчетов и ограничений администратора.
- Чувствительные к ограничению скорости формы и повторяющиеся действия.
Защита аккаунта
Пароли участников хранятся в виде безопасных хешей, а не читаемого текста. Может потребоваться проверка электронной почты, и служба может поддерживать вход в Google, ключи доступа и двухфакторную аутентификацию, если она включена. Действия учетной записи и бэк-офиса защищены аутентификацией, авторизацией, проверкой запроса и ограничениями скорости.
Пользователи по-прежнему играют важную роль: используйте пароль, который не используется другой службой, включите дополнительный фактор, если он доступен, проверьте домен перед входом в систему и выйдите из общих устройств.
Данные и конфиденциальность
Для работы службы необходима некоторая информация, включая данные учетной записи, места назначения, настройки ссылок, соответствующую аналитику и события безопасности. Доступ разделяется по роли и цели. Политика конфиденциальности более подробно объясняет категории информации и соответствующее хранение.
Обращение со злоупотреблениями
Автоматизированные сигналы помогают определить приоритетность подозрительной деятельности, но они не являются идеальными судьями контекста. Отчеты, поведение пунктов назначения, имеющиеся данные и политика рассматриваются вместе. Подтвержденный риск может привести к ограничению ссылки или учетной записи, предназначенному для защиты посетителей и службы.
Ответственное сообщение об уязвимостях
Если вы считаете, что обнаружили уязвимость, не публикуйте сведения, которые могут привести к злоупотреблениям, а также не получайте доступ, не изменяйте и не сохраняйте данные других лиц. Свяжитесь с нами и сообщите затронутый URL-адрес, четкие шаги воспроизведения, ожидаемое поведение и то, что произошло на самом деле. Мы проверим информацию и при необходимости примем меры.
Прежде чем доверять незнакомой ссылке
- Учитывайте, ожидаются ли отправитель и контекст.
- Используйте средство проверки ссылок, если пункт назначения неясен.
- Не вводите пароли, одноразовые коды или платежные реквизиты на подозрительном домене.
- Сообщайте о выдаче себя за другое лицо, ненужных запросах данных или неожиданных загрузках.